パスワードを忘れた? アカウント作成
14028863 story
セキュリティ

「変なホテル舞浜」の卵型ロボ「Tapia」に脆弱性 33

ストーリー by hylom
脆弱性を発見したから金をくれと主張する人達は実際存在する 部門より

H.I.S.ホテルホールディングスが運営する「変なホテル舞浜」の客室に設置されていたコミュニケーションロボットに脆弱性があり、NFC経由で特定の操作を行うことで設定画面へのアクセスが可能で、そこで任意のアプリをインストールできるという問題が見つかった(ITmediaH.I.S.ホテルホールディングスの発表)。

このロボットは「Tapia」というMJIが開発・提供を行っているもの。OSにはAndroid を採用し、カメラやマイク、スピーカーを搭載する。不正なアプリをインストールすることで、ネットワーク経由でリモートからカメラやマイクにアクセスすることができる可能性があるという。

この脆弱性については7月に宿泊者から指摘があったものの、具体的な内容が書かれていなかったこともあって「報奨金を目的とした不審なメール」だと判断して対処していなかったという。

  • by Anonymous Coward on 2019年10月22日 8時45分 (#3704570)

    犯人から警備の問題点を指摘されていたにも関わらず対応せずに、刃物を持ち込まれて死者が出た1999年のハイジャック事件のWikipediaを見た。
    今回は悪用する人でなくてよかったね。

    ここに返信
    • by Anonymous Coward on 2019年10月22日 9時26分 (#3704589)
    • by Anonymous Coward on 2019年10月22日 10時10分 (#3704607)

      むしろこの脆弱性は言ってしまえばバックドアみたいなもので、特別会員様限定で有料でご利用
      できるように用意していたとか?お得意様はこれを使って盗撮をお楽しみできるけど、もしバレた
      時は当局には知らぬ存ぜぬ、過失はなかった、我々も被害者だでとおしてしまう。

      最近は技術進歩で高画質動画も簡単に生中継できるから、そういう趣味の人にはウハウハだろう。

      #こんなブログを呼んだばかりだったから、そんなことを思った→ http://tamakino.hatenablog.com/entry/2019/10/21/080000 [hatenablog.com]

      • by Anonymous Coward on 2019年10月23日 9時22分 (#3704990)

        戯言的な妄想コメントなのにプラスモデレートする意味が分からないが、変なホテルはラブホじゃないので他の宿泊者を盗撮したって面白くもないよね。

        更に言えば、特別会員で自分が盗撮できるってことは自分も他の特別会員に盗撮されるってことなんだから、サービスとしては欠陥がある。

        なお、変なホテルは朝の清掃時以外には人間のスタッフに会うことは基本的には無い(朝食サービスはどうか知らんけど)のだけど、何か問題があったら呼ぶまでもなく人間のスタッフが出てくる。
        ということは盗撮…もとい、防犯カメラで人間があちこちは見てるってことだ。

      • by Anonymous Coward

        透察でヒット擦る奴がうらめしい
        同好の士による演出がもとめられるん

    • by Anonymous Coward

      今件に関わるSNS 投稿をご覧になり、且つ今後ご宿泊を計画されている方に不安な気持ちを抱かせてしまいましたことにつきまして深くお詫びを申し上げます。

      というお詫び文を鑑みるに、こっそり悪用してた方がH.I.S.としては良かったのではないか。SNSでの告発がなければ不安な気持ちを抱く宿泊客はいなかろうて。

    • by Anonymous Coward

      悪用する人でなかったとは言ってない

  • イミフ (スコア:2, 興味深い)

    by Anonymous Coward on 2019年10月22日 9時01分 (#3704577)

    ツイートを受け、

    >同社とTapiaの開発元であるMJIが共同で調査したが、「不正操作を含めたリスクは極めて少ない」と判断。
    >メールは報奨金など見返りを目的とした不審なものだと結論付け、差出人との接触を避けたとしている。

    どうしてそうなった。

    # 旅行先ホテルでMJIの製品見かけたら腐らないよう冷蔵庫にでも入れておくべきだな。

    ここに返信
    • by Anonymous Coward

      大手からしてこんなんだから民泊とかカオスなんだろうけど
      りてらしぃの高そうな家庭でも気にしないんだよなぁ

      水は低きに流れるってことだろうとは思う

    • by Anonymous Coward

      最近の潮流でしょ。
      金目当てでの言いがかりであるとしてクレームに何もしないところ増えてるし。
      で、ツイッターで爆炎上げるわけだけど。

    • by Anonymous Coward

      へんなホテルのへんな会社の言い訳は変だ

      #あそこディズニーリゾートから離れまくってるけど、誰が泊まるのよ
      #マイステイズあたりを買収した方が良かったんじゃないか

    • by Anonymous Coward

      簡単じゃん
      金払いたくないから極めてリスクが少ないって判断で棄却し
      さぞ自分が発見したかのように大々的に「脆弱性が見つかったので改修」

    • by Anonymous Coward

      そりゃ開発元と調査したからじゃないの、
      いかに他社のせいにすることに全力をつくして決して非を認めないタイプの開発元じゃないの?結構あるぞ

  • by Anonymous Coward on 2019年10月22日 9時22分 (#3704586)

    誤字を発見したから金をくれと主張する人達は実際存在する?

    ここに返信
  • ようにも取れる。いや、最近多いじゃん。ブラックバイトとか、ストとか。
    ※佐野SAのはtwitterがなければここまで知られることもなかったハズ

    具体的な方法を返信してもらうようにメールすることも可能なのにしなかったのかね?

    ここに返信
    • by Anonymous Coward

      公益通報窓口など最たるものだな

      こういうのを年少時から教育すべきものと思うが
      民は愚かに保てといつまで続くことだろうか

      • by Anonymous Coward

        そういう仕組みがある事は学校の社会科の教科書でもきちんと取り上げてるけど
        大抵教科書の終わりのほうで結局教えられず仕舞いだったり
        政治経済のような理系の生徒が受験テクニックで取る科目だったりで
        多くの人は教わらないまま大人になってしまうんだよね。

        その対策を取らない国が悪いといえばそれまでなんだけど、
        そもそも、戦国幕末以外の題材の大河ドラマはツマランと言って見もしない人だと
        学校で教えても身につかないんじゃ無いかなと思う。

    • by Anonymous Coward

      むしろそれ以外のどんな対応に見えるのかな?
      再調査の結果も「指摘された脆弱性はあったけど、それ以外に都合の悪いことはありませんでした!」と言ってるだけだし

    • by Anonymous Coward

      そういや以前に「リベラルマスメディアのCNNだから握りつぶせたけど、YouTubeだからムリだった」って先行例もあった。

      • by Anonymous Coward

        複数のメディア
        複数の価値観

  • by Anonymous Coward on 2019年10月23日 20時26分 (#3705372)

    github、Twitter、ブログみると主に組み込み系のセキュリティエンジニアみたい。
    最近脆弱性報告しても握りつぶされるから無回答の場合情報を公開するっていう対抗策かね。

    決定権持ってる層がリスクを正しく判断評価できないっていう7と同じ構造の問題。

    ここに返信
    • by Anonymous Coward

      最近? むしろ企業が脆弱性報告を握り潰すってのは古典的な話で、それに憤ったセキュリティエンジニアが情報公開してゼロデイ脆弱性になることを防ぐために、各国のCERTがあるわけで。

      • by Anonymous Coward

        今はSNS使うんだよ。

        white hatがヤバい脆弱性見つけた場合、公開するとまずいから直接コンタクトを取るんだけど
        ゼロ回答を見越して期限付きで公開するのは海外では良くあることで単に企業側が対応を間違えただけ。

        この人のtwitter読んでいくとずっと企業側の動向見て行動してるけど、
        これがセキュリティエンジニアとかリサーチャーの良くある行動パターン。
        企業側の反応も織り込み済みで行動してるから企業はダメージコントロール(火消し)に失敗して最終的に対応することになったのよ。

        エンドユーザーはバグ報告してもここまでしないでしょ。JPCERT/CCのJVNも基本DB作るだけで対応は開発者じゃん。

  • セキュリティに穴があったことは事実だが、ツイートで指摘があったように、宿泊客の映像や音声を視聴できる状況だったとは断定できない。プログラム次第では可能だったかもしれないが、調査では不正なソフトやアプリは見つからなかった」

    (ITメディアにある広報担当者の説明)

    「セキュリティに穴があった」のでマルウェアやスパイウェアを入れ放題な状態なのに、「宿泊客の映像や音声を視聴できる状況だったとは断定できない」と断定できるのが不思議でならない。
    おそらく、このホテル会社の人にはこの脆弱性を利用して「宿泊客の映像や音声を視聴」する事が出来無いので、攻撃者や発見したホワイトハッカーさんにも容易にそれが行えるという事が理解できず、「不正操作を含めたリスクは極めて少ない」というリスク評価に達したんだろうな。

    #漂う「ちっ、うっせーな」感・・・実害が無かったんだから脆弱性程度はいいだろうというのが透けて見える。

    ここに返信
typodupeerror

アレゲはアレゲを呼ぶ -- ある傍観者

読み込み中...